III OSK 743/23

III OSK 743/23 - Wyrok NSA
Data orzeczenia
2026-01-14
orzeczenie prawomocne
Data wpływu
2023-04-06
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Artur Kuś
Hanna Knysiak - Sudyka /sprawozdawca/
Rafał Stasikowski /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 735/22 - Wyrok WSA w Warszawie z 2023-01-13
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Powołane przepisy
Dz.U. 2019 poz 1781
art. 160 ust. 1 oraz ust. 2
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j.)
Dz.U. 2016 poz 922
art. 18 ust. 1 pkt 2, art. 23 ust. 1 pkt 5
Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych - tekst jedn.
Dz.U. 2020 poz 1575
art. 126 § 2 i art. 187 § 1
Ustawa z dnia 17 listopada 1964 r. Kodeks postępowania cywilnego - t.j.
Dz.U. 2022 poz 2000
z art. 7, art. 77 § 1, art. 80 i art. 107 § 3
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - t.j.
Dz.U. 2024 poz 935
art. 184
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Dz.U.UE.L 2016 nr 119 poz 1 art. 4 pkt 2, art. 6 ust. 1 lit. f
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący sędzia NSA Rafał Stasikowski Sędziowie: sędzia NSA Artur Kuś sędzia del. WSA Hanna Knysiak-Sudyka (spr.) Protokolant: starszy asystent sędziego Krzysztof Poseniak po rozpoznaniu w dniu 14 stycznia 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 13 stycznia 2023 r. sygn. akt II SA/Wa 735/22 w sprawie ze skargi [...] S.A. [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 22 lutego 2022 r. nr ZSZZS.440.443.2019.ZS.JK.II w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz [...] S.A. [...] kwotę 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 13 stycznia 2023 r., sygn. akt II SA/Wa 735/22, po rozpoznaniu sprawy ze skargi [...] S.A. [...] (dalej: "skarżąca" lub "Spółka") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej: "organ" lub "Prezes UODO") z dnia 22 lutego 2022 r., nr ZSZZS.440.443.2019.ZS.JK.II, w przedmiocie przetwarzania danych osobowych: w pkt 1 uchylił zaskarżoną decyzję oraz poprzedzającą ją decyzję Prezesa UODO z dnia 14 maja 2021 r., nr ZSZZS.440.443.2019.ZS.RW.123518,123519 w zakresie punktu pierwszego; w pkt 2 zasądził od organu na rzecz strony skarżącej kwotę 697 tytułem zwrotu kosztów postępowania.
Wyrok zapadł w następującym stanie faktycznym i prawnym sprawy.
W dniu 8 sierpnia 2014 r. do Generalnego Inspektora Ochrony Danych Osobowych (dalej: "GIODO"; obecnie Prezes Urzędu Ochrony Danych Osobowych) wpłynął wniosek V. S.A. [...] (dalej: "uczestnik") o nakazanie Spółce udostępnienia danych osobowych w zakresie imienia i nazwiska, adresu zamieszkania oraz adresu IP użytkowników o pseudonimach "N.", "b.", "d.", którzy na forum portalu [...] dokonali wpisów: 3 października 2012 r. o godz. 14:17 ("N."), 17 czerwca 2013 r. o godz. 12:42 ("b."), 5 lipca 2014 r. o godz. 18:19 ("d."). Uczestnik wskazał, że ww. dane są mu konieczne do "wszczęcia postępowania cywilnego i/lub karnego", ponieważ zamieszczone wpisy dotyczące uczestnika oraz jego pracowników są nieprawdziwe i obraźliwe, przez co narażają jego dobre imię.
W trakcie prowadzonego postępowania organ ustalił, że uczestnik pismem z 8 sierpnia 2014 r. zwrócił się do Spółki o usunięcie wątku "Firma telekomunikacyjna V. - czy ktoś z Was ma?", a także zakazanie publikowania dalszych wypowiedzi na temat uczestnika oraz udostępnienie danych (w zakresie numerów IP, imion, nazwisk i adresów): "N." IP: [...] 03.10.12, 14:17 (...), "." IP: *.[...]17.06.13, 12:42 (...), "d. 05.07.14,18:19 (...)". Uczestnik przytoczył wpisy i wskazał cel, do realizacji którego potrzebuje żądanych danych. Skarżąca w piśmie z 21 sierpnia 2014 r. powiadomiła uczestnika, że z ww. forum usunięto wypowiedzi wskazane w ww. piśmie, a odnosząc się do żądania wydania danych identyfikujących autorów wypowiedzi poinformowała, że nie spełniono przesłanek wymaganych przepisami prawa do wydania danych osobowych użytkowników ww. portalu. W przypadku postępowania karnego sądy, policja, prokuratura dysponują instrumentami prawnymi pozwalającymi na ustalenie danych osobowych oskarżonego.
Uczestnik w kolejnym piśmie wniósł o nakazanie skarżącej udostępnienia danych osobowych w zakresie imienia, nazwiska, adresu zamieszkania oraz numeru IP użytkowników o ww. pseudonimach, wskazując przy tym daty, godziny i treść wpisów. W uzasadnieniu powołał się na pismo skierowane do skarżącej z 8 sierpnia 2014 r. i jej odpowiedzi z 23 października 2013 r.
Skarżąca - w odpowiedzi na wezwanie z 6 marca 2015 r. do złożenia wyjaśnień - poinformowała, że spośród danych objętych żądaniem posiada jedynie adresy IP komputerów, z których korzystali użytkownicy, łącząc się z serwerem ww. portalu i zamieszczając sporne wypowiedzi. Skarżąca jako podstawę odmowy udostępnienia danych powołała przepisy i wykładnię ustawy z 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną i art. 23 ust. 1 pkt 5 ustawy z 29 sierpnia 1997 roku o ochronie danych osobowych (t.j. Dz.U. z 2016 r. poz. 922; dalej: "ustawa z 1997 r.").
Prezes UODO decyzją z 14 maja 2021 r., nr ZSZZS.440.443. 2019.ZS.RW.123518,123519 nakazał Spółce udostępnienie uczestnikowi danych osobowych w zakresie imienia, nazwiska, adresu zamieszkania, operatora (dostawcy internetu), numeru IP użytkowników o pseudonimach "N.", "b.", "d.", którzy na forum portalu [...] dokonali spornych wpisów. W pozostałym zakresie organ umorzył postępowanie.
Po ponownym rozpoznaniu sprawy (wniosek Spółki) organ decyzją z dnia 22 lutego 2022 r., nr ZSZZS.440.443.2019.ZS.JK.II, utrzymał w mocy swoje wcześniejsze rozstrzygnięcie. Prezes UODO wskazał, że zgodnie z art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych z dnia 10 maja 2018 roku (t.j. Dz.U. z 2019 r. poz. 1781 z późn. zm.; dalej: "u.o.d.o" lub "ustawa z 2018 r.") postępowania prowadzone przez GIODO na podstawie ustawy z 1997 r., wszczęte i niezakończone przed dniem wejścia w życie ustawy z 2018 r. prowadzi Prezes UODO, zgodnie z zasadami k.p.a. Wszelkie czynności podejmowane przez GIODO przed 25 maja 2018 r. pozostają skuteczne. Zgodnie z ww. przepisami do spraw rozstrzyganych przez Prezesa UODO mają zastosowanie w zakresie prawa materialnego - przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (Dz.Urz.UE L 119 z 4.05.2016, s. 1, Dz.Urz.UE L 127 z 23.05.2018, s. 2 oraz Dz.Urz.UE L 74 z 4.03.2021, s. 35; dalej: "RODO"), a w zakresie proceduralnym - przepisy ustawy z 1997 r.
Skoro zatem skarżąca odmówiła uczestnikowi udostępnienia ww. danych i stan ten trwa nadal, to w sprawie znajdzie zastosowanie art. 6 ust. 1 lit. f RODO w związku z art. 4 pkt 2 RODO, z którego wynika, że przetwarzanie to m.in. udostępnianie danych. Jeżeli zatem uczestnik wskazał, że żądane dane są mu niezbędne do celów wynikających z jego prawnie uzasadnionych interesów - podjęcia kroków prawnych na drodze sądowej, w celu ochrony dóbr osobistych, to niezbędnym elementem planowanego pozwu jest oznaczenie osób, przeciwko którym skierowane będzie żądanie (art. 126 § 2 i art. 187 § 1 k.p.c.) Podejmowane przez uczestnika działania służące ustaleniu tożsamości tych osób, w celu pociągnięcia ich do odpowiedzialności, w związku z treścią ww. publikacji, gdy nie dysponuje on w zasadzie żadnymi danymi, mieści się w pojęciu prawnie usprawiedliwionych celów. Zdaniem Prezesa UODO Spółka bezpodstawnie odmówiła udostępnienia ww. danych osobowych w zakresie numerów IP komputerów autorów kwestionowanych wpisów, uniemożliwiających podjęcie dalszych działań służących identyfikacji autorów wpisów i skuteczne zainicjowanie przeciwko nim planowanych postępowań.
Na powyższą decyzję Spółka wniosła skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, który przywołanym wyrokiem z 13 stycznia 2023 r. w oparciu o art. 145 § 1 pkt 1 lit. a i c ustawy z 30 sierpnia 2002r. prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz.U. z 2022 r., poz. 329 ze zm.; dalej: "p.p.s.a.") uznał ją za zasadną, uchylając obie zaskarżone decyzje organu.
Uzasadniając swoje stanowisko Sąd pierwszej instancji wskazał, że sąd administracyjny, dokonując oceny legalności zaskarżonych rozstrzygnięć Prezesa UODO, zobowiązany jest - co do zasady - zbadać ich zgodność przede wszystkim z przepisami prawa europejskiego, w tym w szczególności z regulacjami zawartymi w RODO. W rozpoznawanej sprawie należało też uwzględnić art. 160 ust. 1 i 2 u.o.d.o., gdyż postępowanie prowadził także GIODO w związku z wnioskiem uczestnika z 8 sierpnia 2014 r. i nie zostało ono zakończone przed dniem wejścia w życie ustawy z 25 maja 2018 r. Prezes UODO zobowiązany był więc prowadzić postępowanie, wszczęte ww. wnioskiem, na podstawie ustawy z 1997 r., zgodnie z zasadami określonymi w k.p.a., przy jednoczesnym uwzględnieniu, że – na mocy art. 160 ust. 3 u.o.d.o. - czynności dokonane w tych postępowaniach pozostawały skuteczne.
W ocenie Sądu pierwszej instancji, analizowana pod tym kątem skarga, także w świetle ww. przepisów intertemporalnych zasługiwała na uwzględnienie, gdyż obie zaskarżone decyzji w części nakazującej Spółce udostępnienie danych osobowych w zakresie nr IP urządzeń, z których wskazani użytkownicy dokonali wpisów, były niezgodne z prawem. Prezes UODO, wydając ww. decyzje administracyjne w zakresie wyżej wskazanym, dopuścił się bowiem - mogącego mieć zasadniczy wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej, a w szczególności art. 7 k.p.a. w związku z art. 8 i art. 11 k.p.a. w związku z art. 107 § 3 k.p.a. w związku z art. 160 ust.1 i 2 u.o.d.o. i w związku z art. 23 ust. 1 pkt 5 ustawy z 1997 r. przez brak rozważenia zastosowania w sprawie przepisów ustawy z 1997 r., przy jednoczesnym powołaniu się w podstawach prawnych ww. decyzji przede wszystkim na art. 6 ust. 1 lit. f i art. 4 pkt 2 RODO. Nie mogło to ujść uwadze Sądu, choć skarżąca formułowała w skardze przede wszystkim zarzuty naruszenia przepisów RODO, które Prezes UODO wskazał jako podstawę materialnoprawną ww. decyzji.
Sąd pierwszej instancji podkreślił również, że jego zdaniem Prezes UODO nie miał podstaw w realiach rozpoznawanej sprawy do zobowiązywania skarżącej, jako administratora danych osobowych, do udostępniania - będących w jej posiadaniu - danych osobowych ww. użytkowników portalu internetowego uczestnikowi, na potrzeby ewentualnego wytoczenia przez niego powództwa cywilnego czy karnego. Ze stanowiska prezentowanego w judykaturze wynika, że do nakazania przez GIODO - na podstawie art. 18 ust. 1 pkt 2 w związku z art. 23 ust. 1 pkt 5 ustawy z 1997 r. - udostępnienia danych osobowych osób na potrzeby wniesienia pozwu do Sądu przez jednostkę wnioskującą o te dane - konieczne jest wnikliwe przeanalizowanie i zweryfikowanie przez organ nadzorczy, że zamiar tej jednostki skorzystania z prawa do sądu jest realny i rzeczywisty. Niedopuszczalne jest powoływanie się na wolę skorzystania z przysługującego prawa do sądu po to, aby w istocie jedynie poznać dane osobowe innej osoby, gdyż stanowiłoby to niezasługujące na ochronę nadużycie art. 23 ust. 1 pkt 5 ustawy z 1997 r. Z tego względu w judykaturze wskazuje się, że organ nadzorczy musi dokładnie ustalić zamiary podmiotu wnioskującego o udostępnienie mu danych na potrzeby postępowania sądowego, w szczególności, czy w warunkach konkretnego stanu faktycznego powoływanie się przez ten podmiot na wolę wszczęcia postępowania sądowego nie ma charakteru pozornego. Organ zobowiązany jest zatem ocenić realność podawanej podstawy faktycznej uruchomienia w konkretnej sprawie postępowania sądowego. Ocena, czy cel wnioskodawcy jest prawnie usprawiedliwiony, należy nie tylko do kompetencji organu nadzorczego, ale także do jego obowiązków w ramach realizacji normy prawnej określonej w art. 23 ust. 1 pkt 5 ustawy z 1997 r. W rozpoznawanej sprawie organ tego nie uczynił.
Konkludując Sąd pierwszej instancji uznał, że skoro działanie Prezesa UODO nie spełniało ww. warunków, zaszły podstawy do wyeliminowania z obrotu prawnego zarówno zaskarżonej decyzji Prezesa, jak i poprzedzającej ją decyzji z 14 maja 2021 r. w części nakazującej skarżącej udostępnienie ww. danych osobowych użytkowników portalu internetowego w zakresie numerów IP ich komputerów. Uchylenie zaskarżonej decyzji było też spowodowane tym, że organ nadzorczy, utrzymując w mocy własną decyzję z 14 maja 2021 r., omyłkowo w sentencji zaskarżonej decyzji wskazał inną datę decyzji - "24 sierpnia 2021 r.", której nie wydał w sprawie i nie dokonał sprostowania ww. omyłki pisarskiej, choć mógł to uczynić w związku z tym, że w uzasadnieniu zaskarżonej decyzji wskazał prawidłowo, że Spółka we wniosku o ponowne rozpatrzenie sprawy wnosiła o uchylenie decyzji z 14 maja 2021 r., która była wydana w sprawie i została jej doręczona.
Od powyższego wyroku Prezes UODO wywiódł skargę kasacyjną do Naczelnego Sądu Administracyjnego, zaskarżając go w całości i zarzucając orzeczeniu:
I. naruszenie prawa materialnego, tj.:
- art. 23 ust. 1 pkt 5 ustawy 1997 r., poprzez jego zastosowanie w sytuacji, gdy w postępowaniu wszczętym i niezakończonym przed dniem wejścia w życie ustawy z 2018 r. w zakresie prawa materialnego zastosowanie mają przepisy RODO;
- art. 6 ust. 1 lit. f RODO poprzez jego niezastosowanie w sytuacji, gdy w postępowaniu wszczętym i niezakończonym przed dniem wejścia w życie ustawy z 2018 r. w zakresie prawa materialnego zastosowanie mają przepisy RODO;
II. naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj.: - art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 160 ust. 2 ustawy z 2018 r., poprzez jego błędną wykładnię i przyjęcie, iż w postępowaniu wszczętym i niezakończonym przed dniem wejścia w życie ustawy z 2018 r. zastosowanie mają wyłącznie przepisy ustawy z 1997 r., podczas gdy w sprawach tych w zakresie prawa materialnego zastosowanie mają przepisy RODO;
- art. 145 § 1 pkt 1 lit. c p.p.s.a w zw. z art. 7 w zw. z art. 8 i art. 11 w zw. z art. 107 § 3 k.p.a., poprzez błędne przyjęcie, że Prezes UODO wydał obie zaskarżone decyzje bez właściwego wyjaśnienia sprawy i zgromadzenia wystarczającego materiału dowodowego, a w szczególności braku ustalenia i dokonania oceny realności dochodzenia przez uczestnika postępowania roszczeń wobec autorów kwestionowanych komentarzy na drodze sądowej.
Wobec powyższych zarzutów skarżący kasacyjnie wniósł o uchylenie zaskarżonego wyroku i oddalenie skargi (art. 188 p.p.s.a.), ewentualnie o uchylenie zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie, na podstawie art. 176 § 2 p.p.s.a. o rozpoznanie skargi kasacyjnej na rozprawie oraz zasądzenie zwrotu kosztów postępowania sądowego.
W uzasadnieniu skargi kasacyjnej organ przedstawił argumentację mającą na celu wykazanie zasadności podniesionych zarzutów.
W odpowiedzi na skargę kasacyjną Spółka wniosła o jej oddalenie oraz zasądzenie od organu zwrotu kosztów procesowych według norm przepisanych.
Naczelny Sąd Administracyjny zważył, co następuje:
Stosownie do art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz.U. z 2024 r., poz. 935; dalej: "p.p.s.a.") Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. Nie zachodzi również żadna z przesłanek odrzucenia skargi albo umorzenia postępowania przed wojewódzkim sądem administracyjnym, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli wyroku zaskarżonego skargą kasacyjną.
W skardze kasacyjnej zgłoszone zostały zarówno zarzuty naruszenia prawa materialnego, jak i przepisów postępowania. W sytuacji, kiedy skarga kasacyjna zarzuca naruszenie prawa materialnego oraz naruszenie przepisów postępowania, w pierwszej kolejności rozpoznaniu winny podlegać zarzuty naruszenia przepisów postępowania. W niniejszej sprawie jednak drugi zarzut w ramach drugiej podstawy kasacyjnej musi zostać omówiony łącznie z zarzutem naruszenia prawa materialnego.
Rozpatrzenie podniesionego w skardze kasacyjnej pierwszego zarzutu naruszenia przepisów postępowania, który odnosi się wyłącznie do kwestii intertemporalnych, wymaga poczynienia ustaleń dotyczących podstaw prawnych regulujących proces przetwarzania danych osobowych obowiązujących w sierpniu 2014 r. oraz podstaw prawnych, które obowiązywały organ w dniu wszczęcia postępowania, jak i ich wzajemnej korelacji.
Podkreślenia wymaga, że zdarzenia będące przedmiotem skargi wszczynającej postępowanie miały miejsce przed dniem 25 maja 2018 r., a zatem w okresie poprzedzającym zmianę stanu prawnego. Wpisy internetowe zostały bowiem dokonane w dniach 3 października 2012 r., 17 czerwca 2013 r. i 5 lipca 2014 r. Wypowiedzi zostały usunięte z forum internetowego, o czym skarżąca powiadomiła uczestnika pismem z dnia 21 sierpnia 2014 r. Wniosek o wszczęcie postępowania został wniesiony do GIODO w dniu 8 sierpnia 2014 r. Zdarzenia mające znaczenie dla oceny kwestii intertemporalnych nastąpiły zatem w czasie obowiązywania ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4 maja 2016, str. 1; dalej: "rozporządzenie 2016/679" lub "rozporządzenie RODO"), zgodnie z art. 99 ust. 1, weszło w życie po 20 dniach od publikacji w Dzienniku Urzędowym UE, co oznacza, iż weszło ono w życie i ma zastosowanie od dnia 25 maja 2018 r. Postępowanie przed organem zostało wszczęte przed wejściem w życie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t.j. Dz.U. z 2019 r., poz. 1781) i nie zostało zakończone do czasu jej wejścia w życie. Oba akty normatywne weszły w życie jednocześnie w dniu 25 maja 2018 r. Z dniem wejścia w życie ustawy z 2018 r. utraciła moc obowiązującą ustawa o ochronie danych osobowych z 1997 r.
Istotne jest w tym miejscu wskazanie, że w ustawie z 2018 r. zawarto regulację intertemporalną odnoszącą się do postępowań administracyjnych wszczętych i niezakończonych przed wejściem w życie przepisów tej ustawy. Stosownie do treści art. 160 ust. 2 ustawy z 2018 r. postępowania wszczęte i niezakończone przed 25 maja 2018 r. prowadzi się na podstawie ustawy z 1997 r., zgodnie z zasadami określonymi w Kodeksie postępowania administracyjnego. Wykładnia tego przepisu wskazuje, że w postępowaniach wszczętych pod rządami ustawy z 1997 r., które nie zostały prawomocnie zakończone do czasu uchylenia tej ustawy, należy stosować przepisy ustawy z 1997 r. i to zarówno w zakresie podejmowanych czynności proceduralnych, jak i materialnoprawnej oceny zdarzeń będących przedmiotem postępowania. Brak jest natomiast przepisu przejściowego regulującego postępowania, które zostały wszczęte po wejściu w życie nowej ustawy, a dla których przesłanki faktyczne determinujące jego wszczęcie wystąpiły jeszcze przed wejściem w życie przedmiotowych przepisów, lecz taka sytuacja nie ma miejsca w niniejszej sprawie.
Nie budzi wątpliwości Naczelnego Sądu Administracyjnego, na gruncie niniejszej sprawy, że zdarzenie prawne będące przedmiotem oceny materialnoprawnej Prezesa UODO, to jest żądanie nakazania udostępnienia danych osobowych, miało miejsce przed dniem 25 maja 2018 r., a więc w czasie, gdy obowiązywała ustawa z 1997 r. Zdarzenie prawne będące przedmiotem oceny Prezesa UODO było zdarzeniem, które zakończyło się przed wszczęciem postępowania administracyjnego. O zastosowaniu starego czy nowego prawa powinien decydować zaś moment, w którym doszło do ocenianego zdarzenia, to jest żądania nakazania udostępnienia danych osobowych, mając na uwadze, że kontrowersyjne wpisy w dacie zgłoszenia żądania zostały już usunięte. Jak wskazał zasadnie Naczelny Sąd Administracyjny w uzasadnieniu wyroku z dnia 15 stycznia 2021 r. (sygn. akt III OSK 2892/21) problematyka intertemporalna w ustawie z 2018 r. nie została uregulowana przez ustawodawcę w sposób wyczerpujący. Zakresem regulacji objęta została tylko kwestia postępowań wszczętych i niezakończonych przez GIODO przed 25 maja 2018 r. Uwadze ustawodawcy umknęły zaś wszelkie inne kwestie prawa międzyczasowego. Brak jest przepisów odnoszących się do przypadków, gdy postępowania nie zostały jeszcze wszczęte, a zdarzenia objęte nimi miały miejsce przed 25 maja 2018 r. Nie rozstrzygnął on problemów stosunków prawnych lub faktów, które powstały lub wystąpiły pod rządami dawnego prawa i trwają po jego uchyleniu pod rządami nowego prawa, jak również stosunków prawnych lub faktów, które wystąpiły i zakończyły się pod rządami starego prawa, a postępowania administracyjne odnoszące się do nich zostały wszczęte dopiero po 25 maja 2018 r. W ocenie Naczelnego Sądu Administracyjnego z przepisu art. 160 ust. 2 ustawy z 2018 r. wynika bez wątpienia, iż stare prawo znajduje dalsze zastosowanie do spraw wszczętych i nie zakończonych przed 25 maja 2018 r. W takich przypadkach wyłączną podstawą orzekania przez organ będą stanowić przepisy starego prawa. Do wszystkich pozostałych sytuacji stosowania prawa organ w związku z treścią przepisów art. 2 i art. 7 Konstytucji RP oraz art. 6 k.p.a. obowiązany będzie zastosować nowe prawo, mimo że fakty prawne, które miałyby zostać rozstrzygnięte w drodze aktu stosowania prawa zaszły w czasie zanim weszło w życie nowe prawo.
Mając na uwadze powyższe zapatrywanie zasadną jest konstatacja, że zdarzenie stanowiące podstawę złożenia przez skarżącą skargi do organu powinno podlegać ocenie według przepisów prawa materialnego obowiązujących w dniu, w którym dane zdarzenie miało miejsce. Stanowisko Sądu pierwszej instancji jest prawidłowe, a zarzut skargi kasacyjnej – bezzasadny. Wobec powyższego niezasadny jest również zarzut naruszenia art. 23 ust. 1 pkt 5 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych, poprzez jego zastosowanie oraz zarzut naruszenia art. 6 ust. 1 lit. f rozporządzenia RODO poprzez jego niezastosowanie.
Nie jest zasadny także zarzut naruszenia art. 145 § 1 pkt 1 lit. c p.p.s.a. w związku z art. 7 w zw. z art. 8 i art. 11 w zw. z art. 107 § 3 k.p.a. Przede wszystkim należy podnieść, że zarzut został niestarannie skonstruowany, gdyż art. 8 k.p.a. zawiera dwa paragrafy o różnej treści normatywnej, a skarżący kasacyjnie nie wskazał, naruszenie której jednostki redakcyjnej przepisu zarzuca.
Trzeba podnieść, że zakres postępowania wyjaśniającego jest uzależniony od podstawy prawnej decyzji, która ma być wydana w konkretnym postępowania. Jak już wyżej wskazano, podstawę tą stanowił art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych z 1997 r. Stosownie do treści tego przepisu przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Naczelny Sąd Administracyjny podziela w całości wykładnię tego przepisu obszernie przedstawioną przez Sąd pierwszej instancji w uzasadnieniu zaskarżonego wyroku, mającą oparcie w przytoczonym szeroko przez ten Sąd orzecznictwie Naczelnego Sądu Administracyjnego. Ze stanowiska Sądu pierwszej instancji wynika, że zamiar wszczęcia postępowania cywilnego w zakresie ochrony dóbr osobistych może stanowić podstawę do udostępnienia danych osobowych, o której mowa w art. 23 ust. 1 pkt 5 u.o.d.o., jednak musi być realny (aktualny i pewny), a nie pozorny. Zdaniem Sądu pierwszej instancji organ nie wywiązał się z obowiązku ustalenia tej okoliczności, co było jedną z przyczyn uchylenia zaskarżonej decyzji nakazującej [...] S.A. [...] udostępnienie V. S.A. [...] danych osobowych dotyczących autorów wypowiedzi zamieszczonych na forum internetowym.
Naczelny Sąd Administracyjny uznał, że błędna jest wykładnia art. 23 ust. 1 pkt 5 u.o.d.o. prezentowana przez organ, sprowadzająca się do tego, że sama deklaracja podmiotu wnioskującego o nakazanie udostępnienia danych użytkowników serwisu internetowego na potrzeby dochodzenia roszczeń na drodze sądowej przesądza o dopuszczalności przetwarzania danych osobowych na podstawie tego przepisu. Zdaniem Naczelnego Sądu Administracyjnego dla nakazania przez organ na podstawie art. 18 ust. 1 pkt 2 w zw. z art. 23 ust. 1 pkt 5 u.o.d.o. udostępnienia danych osobowych osób na potrzeby wniesienia powództwa do sądu przez podmiot wnioskujący o te dane, konieczne jest, jak to prawidłowo stwierdził Sąd pierwszej instancji, wnikliwe przeanalizowanie i zweryfikowanie przez organ, czy posiadanie danych osobowych jest konieczne do osiągnięcia celu wskazanego we wniosku, oraz czy zamiar tego podmiotu skorzystania z prawa do sądu jest realny. Udostępnienie danych każdemu podmiotowi, który tego zażąda, uzasadniając krótko, iż uzyskane dane są mu potrzebne do dochodzenia roszczeń na drodze sądowej, oznaczałoby w istocie, iż przepisy ustawy, której celem jest ochrona danych, stałyby się podstawą do w zasadzie niekontrolowanego wypływu tych danych ze zbiorów posiadanych przez podmiot administrujący danymi użytkowników forum internetowego. W razie udostępnienia żądanych danych ich dysponentem będzie żądający udostępnienia, do którego wyłącznej decyzji będzie należało ewentualne skierowanie do sądu pozwu. Nie można bowiem wykluczyć, że żądający udostępnienia danych osobowych będzie nie tylko pierwszym, ale i ostatnim dysponentem uzyskanych danych, nie ulega bowiem wątpliwości, że w systemie prawa cywilnego brak jest instrumentów pozwalających wymusić wniesienie do sądu powództwa. Nie ma zatem gwarancji, że udostępnione dane osobowe zostaną wykorzystane wyłącznie w procesie sądowym, a kontrolę nad ich wykorzystaniem będzie wykonywał sąd. Stanowisko, w myśl którego do realizacji usprawiedliwionego celu przez odbiorcę danych dochodzi w każdej sytuacji, w której wnioskodawca wskazuje cel związany z dochodzeniem roszczeń przez sądem, prowadzi do uznania, iż każdorazowo interes wnioskodawcy przeważa nad interesem osób, których dane dotyczą. Taka wykładnia jest niezgodna z brzmieniem art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych z 1997 r. oraz celem powyższej ustawy, jakim jest przede wszystkim ochrona danych osobowych i prywatności.
Żądająca udostępnienia danych osobowych użytkowników forum internetowego V. S.A. [...] nie wykazała w wiarygodny sposób, że pozyskanie danych użytkowników jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów, przez nią realizowanych. Lakoniczne stwierdzenie, iż uzyskanie danych umożliwi jej wszczęcie postępowania sądowego (cywilnego lub karnego) nie może być uznane za wystarczające.
Sąd pierwszej instancji zasadnie przyjął, że organ w niniejszej sprawie nie dokonał wyważenia interesu użytkowników portalu rozumianego jako wolność wypowiedzi i ochrona prywatności oraz interesu uczestnika. Rozstrzygając niniejszą sprawę organ w obu podjętych decyzjach oparł się wyłącznie na konstatacji, iż wobec stwierdzenia wnioskodawcy wskazującego cel pozyskania danych związany z dochodzeniem roszczeń, przyjąć należy zaistnienie przesłanki niezbędności. Organ nie pochylił się nad sprawą w kontekście zasady proporcjonalności, całkowicie pomijając interes osób, których dane objęte żądaniem udostępnienia dotyczą. Zauważyć należy, że postępowanie prowadzone w niniejszej sprawie dotyczy konstytucyjnych wolności i praw osób, których dane zostały objęte żądaniem udostępnienia, jednak z oczywistych względów w toku postepowania nie może nastąpić konkretyzacja tych osób, co uniemożliwia im obronę i ochronę ich interesu prawnego. Tym bardziej ciężar działania w tym zakresie, a więc ustalenie i uwzględnienie interesu prawnego tych osób spoczywa na organie. Organ winien brać pod uwagę nie tylko interes podmiotu wnioskującego o udostępnienie danych osobowych, ale także wszystkich tych, których dane osobowe mają zostać udostępnione. Tymczasem organ nie wyważył interesów obu stron, tj. wnioskodawcy i osób, których dane objęte zostały nakazem udostępnienia. Organ nawet nie podjął próby takiego wyważenia. Wobec braku instrumentów pozwalających na jakąkolwiek kontrolę wykorzystania udostępnionych danych, należało wziąć w niniejszej sprawie pod uwagę możliwość wykorzystania udostępnionych danych osobowych w celu niezgodnym z tym, dla którego będą udostępnione.
W niniejszej sprawie mamy do czynienia z kolizją praw i wolności, tj. z prawem żądającego udostępnienia danych osobowych do dochodzenia naruszonych praw przed sądem i prawem do prywatności oraz do poufności komunikacji gwarantowanej w art. 49 Konstytucji RP. Warunkami domagania się udostępnienia danych, jakie zgromadził administrator serwisu internetowego, są proporcjonalność środków i celów oraz równowaga pomiędzy ochroną różnych dóbr: wolności wypowiedzi i prawa do ochrony dóbr osobistych. Bezrefleksyjny automatyzm w udostępnianiu informacji o osobach korzystających z wolności wypowiedzi w Internecie może wywołać tzw. efekt mrożący (ang. chilling effect), zniechęcający do prezentowania własnych racji i poglądów, a zatem godzić w wolność myśli i słowa.
Oczywistą konsekwencją błędnej wykładni art. 23 ust. 1 pkt 5 ustawy z 1997 r., dokonanej przez organ, było nierozpoznanie sprawy w zakresie wynikającym z przedstawionej wykładni tych przepisów przez Sąd pierwszej instancji. Organ nie przedsięwziął wszystkich wnikających z prawidłowej wykładni tych przepisów czynności służących wnikliwemu i rzetelnemu ustaleniu okoliczności faktycznych sprawy i nie dokonał ich prawidłowej oceny. Wobec tego zarzut naruszenia art. 145 § 1 pkt 1 lit. c p.p.s.a. w związku z art. 7 w zw. z art. 8 i art. 11 w zw. z art. 107 § 3 k.p.a. nie jest zasadny. Sąd pierwszej instancji prawidłowo zarzucił organowi naruszenie art. 7, art. 77 § 1, art. 80 i art. 107 § 3 k.p.a.
Mając na uwadze powyższe wywody, Naczelny Sąd Administracyjny uznał, że skarga kasacyjna nie ma usprawiedliwionych podstaw, dlatego na mocy art. 184 p.p.s.a. ją oddalił.
O kosztach postępowania orzeczono zgodnie z zasadą odpowiedzialności za wynik postępowania, na podstawie art. 204 pkt 2 p.p.s.a. w związku z art. 205 § 2 p.p.s.a.